Ваши медицинские данные в Европейском союзе: GDPR, EHDS и права, которые у вас действительно есть

Ваши анализы — в лаборатории. Выписка — в больнице. Рецепты — в аптеке и в национальной системе. Всё это «ваше» в моральном смысле, но годами закон не говорил ясно, что вы можете запросить их электронно, получить сразу, в пригодном формате, и забрать куда хотите. С 2025 года — говорит.

Это руководство понятным языком объясняет два закона, которые регулируют ваши медицинские данные в Европейском союзе: GDPR, действующий с 2018 года, и EHDS — регламент о Европейском пространстве данных о здоровье, действующий с марта 2025 года и применяемый поэтапно до 2031 года. Это не юридический текст, а карта ваших прав и момента, когда они становятся реальными.

GDPR: данные о здоровье — «особая категория»

Общий регламент по защите данных (GDPR) выделяет данные о здоровье отдельно: это особая категория, описанная в статье 9, наряду с генетическими и биометрическими данными. Их обработка в принципе запрещена, с точными исключениями: ваше явное согласие, медицинская помощь, общественный интерес в сфере здравоохранения, исследования с гарантиями.

Что это значит для вас конкретно:

• Любое приложение, лаборатория или клиника, обрабатывающие ваши данные о здоровье, должны иметь ясное правовое основание и простым языком сообщать, что с ними делают.
• Общие права GDPR действуют и для медицинских данных: доступ (увидеть, что о вас хранится), исправление, удаление (с ограничениями, поскольку у медицинских карт есть законные сроки хранения), переносимость (получить данные в структурированном, общепринятом, машиночитаемом формате) и право возражать против определённой обработки.
• Срок ответа на запрос о доступе — один месяц, в сложных случаях продлевается на два. Доступ бесплатный.
• Хостинг имеет значение. Данные могут передаваться за пределы ЕС только с гарантиями (решения об адекватности, стандартные договорные условия). Приложение, которое хранит данные в ЕС, снимает этот вопрос.

GDPR дал права. Чего он не дал — формата и инфраструктуры: вы могли запросить доступ, но получали PDF или стопку бумаг спустя месяцы, и больница не была обязана уметь передать их другой больнице. Именно этот пробел заполняет EHDS.

EHDS: что это и почему важно

Регламент (ЕС) 2025/327 о Европейском пространстве данных о здоровье опубликован в марте 2025 года и вступил в силу 26 марта 2025 года. Это первый европейский акт, который для всех 27 государств устанавливает, как должны передаваться данные о здоровье: между вами и врачами («первичное использование») и, по строгим правилам, для исследований и государственной политики («вторичное использование»).

Три центральные идеи:

1. У вас есть электронный, немедленный и бесплатный доступ к своим данным о здоровье через национальный сервис доступа; вы можете их скачать, дополнить, ограничить и увидеть, кто их читал.
2. Данные передаются в общем формате (европейский формат обмена электронными медицинскими картами, EEHRxF), основанном на стандартах вроде HL7 FHIR, чтобы больница в Испании могла прочитать вашу сводку из Румынии.
3. Системы электронных медицинских карт должны соответствовать общим требованиям к интероперабельности и журналированию, с декларацией соответствия — своего рода маркировка CE для медицинского ПО.

Ваши права по EHDS, одно за другим

Статьи главы II регламента дают вам конкретно:

Доступ. Право немедленно, бесплатно и в легко читаемой форме получать доступ к своим электронным данным о здоровье через сервис доступа вашей страны. «Немедленно» — без письменного запроса и месячного ожидания по GDPR, с одним исключением: врач может отложить доступ к некоторым результатам (например, к серьёзному диагнозу), пока не сообщит их вам лично.

Скачивание. Право получить электронную копию в европейском формате обмена, как минимум для приоритетных категорий, и передать её выбранному поставщику медицинских услуг в любом государстве-члене.

Дополнение. Право добавлять информацию в свою электронную карту (например, домашние измерения), с ясной пометкой, что она внесена вами, чтобы врач отличал её от клинических данных.

Исправление. Право требовать исправления неверных данных онлайн через сервис доступа.

Ограничение. Право ограничить доступ специалистов к определённым данным или ко всей карте; тому, кто ограничивает, сообщают, что в экстренной ситуации отсутствие информации может повлиять на помощь.

Информация о доступе. Право видеть, кто, когда и из какого учреждения обращался к вашим данным: журнал доступа становится обязательным и видимым для пациента.

Доверенное лицо. Право назначить другого человека (родителя, взрослого ребёнка, опекуна), который будет получать доступ к вашим данным от вашего имени.

Возражение против вторичного использования. Право возражать против использования ваших (псевдонимизированных или анонимизированных) данных для исследований, статистики или политики — на условиях, установленных каждым государством. Это не абсолютное право, но оно существует, и государства обязаны его реализовать.

Приоритетные категории: что передаётся первым

EHDS не требует, чтобы всё было доступно с первого дня. Он определяет приоритетные категории электронных данных о здоровье, которые должны существовать в европейском формате обмена и быть доступными и передаваемыми:

1. Сводка пациента (аллергии, лекарства, заболевания, прививки; на практике — Международная сводка пациента или её европейский эквивалент).
2. Электронные рецепты и электронные отпуски лекарств.
3. Медицинская визуализация и заключения.
4. Лабораторные результаты.
5. Выписки.

На европейском уровне инфраструктура MyHealth@EU (ранее eHDSI) уже связывает национальные точки контакта и позволяет подключённым странам обмениваться сводками пациентов и электронными рецептами. EHDS делает её обязательной и распространяет на остальные категории.

Когда это применяется на самом деле

Здесь большинство статей в прессе ошибается. Регламент вступил в силу в 2025 году, но применяется поэтапно:

• 26 марта 2027 года: общее применение; государства должны иметь органы цифрового здравоохранения и органы доступа к данным, базовые правила начинают действовать.
• 26 марта 2029 года: права пациентов и обязанности поставщиков по сводке пациента и электронным рецептам (первые две приоритетные категории), требования к системам электронных карт и первый этап вторичного использования.
• 26 марта 2031 года: те же обязанности для визуализации, лабораторных результатов и выписок, плюс остальное вторичное использование.
• Для государств, которым это нужно, некоторые сроки могут быть продлены с уведомлением Комиссии.

Что это значит для вас: права по GDPR у вас есть уже сейчас. Права по EHDS становятся обязательными постепенно, начиная со сводки и рецептов в 2029 году. До тех пор многие государства и поставщики внедряют их добровольно или через национальное законодательство, а серьёзные приложения уже строятся на европейском формате.

Что это значит для приложений, которыми вы пользуетесь

EHDS регулирует в основном системы поставщиков медицинских услуг и национальные сервисы доступа. У приложений для wellness (фитнес, сон, питание) добровольный режим: производитель может заявить об интероперабельности с системой электронных карт и зарегистрировать приложение в европейской базе; обязанности нет. Приложения, которые ведут вашу личную медицинскую карту, находятся между двумя мирами: они не поставщики медицинских услуг, но их ценность напрямую растёт с тем, насколько они следуют европейскому формату.

Вопросы, которые стоит задать приложению в духе EHDS:

• Хранит ли оно мои данные в стандартном формате (FHIR, с кодами) и экспортирует ли их полностью, чтобы я мог передать их поставщику или в национальный сервис доступа?
• Показывает ли оно, кто и к чему обращался в моей карте?
• Позволяет ли давать и отзывать доступ по категориям и срокам?
• Ясно ли помечает, что внёс я, а что пришло от врача или лаборатории (происхождение)?
• Хранит ли мои данные в ЕС?

Если ответы «да», приложение уже там, куда европейское право хочет привести всю систему.

Как пользоваться своими правами сегодня

Ждать 2029 года, чтобы начать, не нужно.

1. Запросите доступ по GDPR у любого поставщика, у которого есть ваши данные: больница, лаборатория, частная клиника. Письменно, со ссылкой на статью 15 GDPR; у них месяц на ответ. Просите электронный и, если возможно, структурированный формат.
2. Пользуйтесь национальным порталом, где он есть. Несколько государств уже предлагают сводку пациента, рецепты и часть результатов онлайн; проверьте, что доступно у вас и что можно скачать.
3. Вносите полученное в свою личную карту в кодированном виде, чтобы оно было экспортируемым и сопоставимым. Руководство об анализах объясняет, почему важны коды.
4. Запрашивайте журнал доступа там, где он уже есть (некоторые национальные системы его предоставляют), и привыкайте его читать.
5. Пишите на адрес privacy@ любого сервиса, когда что-то неясно. Серьёзные сервисы имеют отдельный адрес и отвечают.

Как помогает Anpheros

Anpheros построен на принципах EHDS до того, как они стали обязательными: ваша карта хранится как ресурсы HL7 FHIR R4 со стандартными кодами в Европейском союзе; её можно полностью экспортировать в любой момент, в том числе как сводку IPS; каждый доступ клиники, приложения или ИИ-ассистента требует вашего согласия на ограниченный срок, отзываемого, и остаётся в журнале, который вы видите; у каждой записи помечено происхождение (внесено вами, отсканировано из документа, получено с устройства или от поставщика). Запросы о ваших данных, включая удаление аккаунта, обрабатываются по адресу privacy@anpheros.com в сроки GDPR.

Частые вопросы

EHDS означает, что кто угодно по всей Европе сможет видеть мои данные?

Нет. EHDS регулирует доступ лечащих вас медицинских специалистов — с журналированием и вашим правом ограничения — и вторичное использование псевдонимизированных данных по разрешению органа доступа и с правом возражения. Он не создаёт центральную европейскую базу с картами всех.

Могу ли я уже сегодня запросить данные в формате FHIR?

По GDPR вы можете запросить переносимость в «структурированном, общепринятом и машиночитаемом формате»; точный формат определяет поставщик, и FHIR он предоставлять не обязан. По EHDS с 2029 года для сводки и рецептов европейский формат обмена становится обязательным. До тех пор — спрашивайте: многие системы уже могут.

Подпадают ли мои данные в приложении личной карты под EHDS?

Само приложение не поставщик медицинских услуг, поэтому обязанности EHDS для поставщиков к нему напрямую не применяются; GDPR применяется полностью. EHDS важен для него косвенно: чем больше оно использует европейский формат, тем легче вашим данным попасть в регулируемые системы.

Могу ли я отказаться от использования моих данных для исследований?

Да, EHDS предусматривает право возражения против вторичного использования, реализуемое каждым государством (конкретный механизм различается). Данные для исследований псевдонимизированы или анонимизированы и доступны только в защищённых средах, а не скачиваются свободно.

Что делать, если больница отказывается выдать мне мои данные?

Направьте запрос письменно со ссылкой на статью 15 GDPR и сохраните подтверждение. Если ответа нет в течение месяца (или трёх, с обоснованием), вы вправе подать жалобу в национальный орган по защите данных. С 2029 года для приоритетных категорий появится и путь через национальный сервис доступа.